La technique date un peu mais fait toujours recette…

Les laboratoires de Kaspersky ont détecté un nouveau virus sous Windows, Virus.Win32.Gpcode.ai, originaire du 'team Glamorous', qui embarque un algorithme complexe de cryptage des fichiers et archives sur les machines où il se déploie.

Une fois installé, il crypte donc les fichiers, affirme copier des données personnelles, et ouvre un fichier texte qui averti l'utilisateur que ses fichiers sont cryptés par l'algorithme RSA-4096. Il 'propose' alors de payer 300 dollars pour recevoir un outil de décryptage et obtenir l'effacement des données dérobées.

Une fois lancé, le virus crée une clé unique de cryptage qu'il place dans le registre système, où d'ailleurs il se copie lui-même. La clé sera alors testée périodiquement par les systèmes où le code malicieux a été injecté. La majorité des fichiers bureautique, images, bases de données et web peuvent être cryptés !

Un antivirus à jour suffit pour se protéger de Gpcode.

Les experts de l'éditeur russe ont en revanche constaté que l'algorithme de cryptage est RC4, et non RSA-4096, et que les données prétendument dérobées ne sont en réalité pas envoyées au pirate. Ils ont également développé une routine pour décrypter les fichiers des éventuelles victimes.